¿Qué hace que un alojamiento de apps sea compatible con el RGPD?
Con el RGPD, tú eres el responsable de los datos personales de tus usuarios y tu alojamiento es un encargado del tratamiento. El artículo 28 exige un contrato entre los dos, el acuerdo de encargo del tratamiento, que diga qué puede hacer el alojamiento con los datos. Un alojamiento compatible con el RGPD te lo pone fácil: ofrece un DPA, nombra a sus subencargados y te dice dónde se guarda cada parte de tu app.
La ubicación importa porque las transferencias fuera de la UE necesitan garantías adicionales, como las cláusulas contractuales tipo de la UE. Mantener en la UE la app, la base de datos, las copias y los logs evita la mayoría de esas preguntas. Un proveedor con sede en la UE puede ser más sencillo de tratar que uno de fuera, pero los dos pueden cumplir.
- Dónde se ejecuta la app y dónde se guardan la base de datos, las copias, las imágenes de contenedor y los logs.
- Si el DPA forma parte de las condiciones, se firma en la cuenta o se envía a petición.
- Quiénes son los subencargados, como el proveedor de nube, la CDN y los servicios de email y pagos.
- Qué pasa con tus datos cuando te vas: exportación, borrado y cuánto tiempo se conservan las copias.
¿Qué alojamientos le encajan a un desarrollador independiente en Europa?
Cada dato sale de las propias páginas del proveedor, enlazadas en Fuentes, y se comprobó el 28 de septiembre de 2026. Es información general, no asesoramiento jurídico.
Dos matices. Vercel ejecuta las funciones de los proyectos nuevos en Washington D. C. salvo que elijas otra región. Heroku, que también tiene una región en Europa, dice en su página de regiones que elegir una región no garantiza que todos sus productos mantengan los datos en ella.
| Opción | Sede de la empresa | Dónde se ejecuta en la UE | Acuerdo de encargo del tratamiento | Ideal para |
|---|---|---|---|---|
| Codara Cloud | Madrid, España | Helsinki, Finlandia. Apps, bases de datos, copias e imágenes se guardan en la UE | DPA y lista de subencargados públicos | Apps y bases de datos gestionadas con plan fijo, en la UE |
| Scalingo | Estrasburgo, Francia | París; una región SecNumCloud bajo petición | DPA publicado; certificaciones ISO 27001 y HDS | Datos de salud o certificaciones francesas |
| Clever Cloud | Nantes, Francia | París, Roubaix, Gravelines, Varsovia y más | DPA incluido en las condiciones de uso | Un PaaS francés con muchos complementos gestionados |
| Hetzner Cloud (con Coolify) | Gunzenhausen, Alemania | Falkenstein, Núremberg, Helsinki | DPA del artículo 28 que firmas en tu cuenta | Quien opera su propio servidor |
| Sliplane | Berlín, Alemania | Alemania y Finlandia, sobre Hetzner | DPA público con sus subencargados | Contenedores Docker en un servidor de precio fijo |
| Render | Estados Unidos | Fráncfort | DPA público con cláusulas contractuales tipo de la UE y el Reino Unido | Un PaaS veterano con una región en la UE |
| Railway | Estados Unidos | Ámsterdam | DPA con cláusulas contractuales tipo, que se firma mediante un formulario | Apps facturadas por uso |
| Fly.io | Estados Unidos | Ámsterdam, Estocolmo, París, Fráncfort | DPA prefirmado por Fly.io, que se solicita tras iniciar sesión | Apps en varias regiones |
| Vercel | Estados Unidos | Las funciones pueden ejecutarse en Fráncfort, París, Dublín o Estocolmo; por defecto, en Washington D. C. | DPA con las cláusulas contractuales tipo de 2021 | Apps de frontend; elige una región de la UE para las funciones |
¿Qué más debe hacer un desarrollador independiente, además de elegir alojamiento?
La mayor parte del trabajo está en tu propia app, no en el alojamiento. Mantenlo sencillo y por escrito, para poder responder a un usuario sin improvisar.
- Acepta el DPA del alojamiento y guarda una copia con la fecha.
- Haz una lista de cada servicio que ve datos personales: alojamiento, base de datos, email, analítica, pagos, seguimiento de errores y cualquier API de modelos de IA.
- Elige regiones de la UE siempre que el servicio las ofrezca, también para la base de datos y las copias.
- Recoge solo lo que necesitas, fija un plazo de conservación y borra los datos antiguos.
- Escribe una política de privacidad que nombre esos servicios y pide consentimiento antes de usar cookies de analítica.
- Ten claro cómo exportar o borrar los datos de un usuario cuando te lo pida.
¿Dónde encaja Codara Cloud?
Codara Cloud es un hosting gestionado de apps de Codara Solutions SL, una empresa de Madrid. Las apps, bases de datos, volúmenes, copias de seguridad e imágenes de contenedor se almacenan en la UE: en Hetzner Cloud, en Helsinki, y en Cloudflare R2, en su jurisdicción de la UE. La red global de Cloudflare transporta el tráfico de las apps y puede almacenar en caché el contenido servido. El acuerdo de encargo del tratamiento y la lista de subencargados son públicos, y puedes exportar tus datos cuando te vayas.
Está pensado para desarrolladores independientes y equipos pequeños: un plan fijo desde 5 € al mes antes de impuestos, bases de datos gestionadas con copias que puedes activar y sin cargos automáticos por uso. Funciona en una sola región, la capacidad es finita y está en beta por invitación. Si necesitas una certificación como HDS o SecNumCloud, mira Scalingo.
Preguntas
- ¿Alojar en la UE hace que mi app cumpla el RGPD?
- No. Resuelve dónde se guardan los datos, lo que evita la mayoría de las dudas sobre transferencias. Sigues necesitando una base legal para lo que recoges, una política de privacidad, un plazo de conservación y un DPA con cada encargado.
- ¿Puedo usar la región europea de una empresa estadounidense?
- Sí, muchos desarrolladores lo hacen. Elige la región de la UE para la app y la base de datos, acepta el DPA del proveedor, que suele incluir las cláusulas contractuales tipo de la UE, y comprueba dónde están su plano de control, los logs y las copias.
- ¿Tengo que firmar algo si trabajo por mi cuenta?
- Sí, un acuerdo de encargo del tratamiento con cada proveedor que trate datos personales de tus usuarios. Algunos lo incluyen en sus condiciones y otros te piden firmarlo en la cuenta o mediante un formulario.
- ¿Dónde guarda Codara Cloud mis datos?
- En la UE: en Hetzner Cloud, en Helsinki (Finlandia), y en Cloudflare R2, en su jurisdicción de la UE, para las copias de seguridad. La red global de Cloudflare transporta el tráfico de las apps y puede almacenar en caché el contenido servido.
Fuentes
Las cifras de otros proveedores se comprobaron en sus propias páginas de precios y documentación el 28 de septiembre de 2026. Los precios cambian: revísalos antes de decidir.
- Scalingo legal notice ↗scalingo.com/legal-notice
- Scalingo data processing agreement ↗scalingo.com/data-processing-agreement
- Scalingo compliance ↗doc.scalingo.com/security/overview/compliance
- Scalingo regions ↗doc.scalingo.com/platform/internals/regions
- Clever Cloud about ↗www.clever.cloud/about/
- Clever Cloud data processing agreement ↗www.clever.cloud/general-terms-and-conditions-of-use/clever-cloud-data-processing-agreement/
- Hetzner legal notice ↗www.hetzner.com/legal/legal-notice/
- Hetzner data protection ↗docs.hetzner.com/general/company-and-policy/data-protection-at-hetzner/
- Sliplane about ↗sliplane.io/about
- Sliplane data processing agreement ↗sliplane.io/legal/dpa
- Render data processing addendum ↗render.com/dpa
- Render regions ↗render.com/docs/regions
- Railway data processing agreement ↗railway.com/legal/dpa
- Railway deployment regions ↗docs.railway.com/reference/deployment-regions
- Fly.io compliance documents ↗fly.io/documents/
- Fly.io terms of service ↗fly.io/legal/terms-of-service/
- Fly.io regions ↗docs.fly.io/reference/regions/
- Vercel data processing addendum ↗vercel.com/legal/dpa
- Vercel function regions ↗vercel.com/docs/functions/configuring-functions/region
- Heroku regions ↗devcenter.heroku.com/articles/regions